Το πρόστιμο που δύναται να επιβληθεί σε μία επιχείρηση που παραβιάζει τις υποχρεώσεις του GDPR ενδέχεται να φτάσει το 4% του ετήσιου παγκόσμιου κύκλου εργασιών της επιχείρησης, ή 20 εκατομμύρια ευρώ ανάλογα με το ποιο είναι υψηλότερο! Πρόκειται για το μέγιστο πρόστιμο που μπορεί να επιβληθεί για τις πιο σοβαρές παραβάσεις π.χ. αδυναμία εξασφάλισης της συναίνεσης του πελάτη για επεξεργασία δεδομένων με σύννομο τρόπο ή διαβίβαση δεδομένων προσωπικού χαρακτήρα σε τρίτη χώρα χωρίς την τήρηση των κατάλληλων εγγυήσεων που προβλέπονται από τον κανονισμό. Ωστόσο υπάρχει κλιμάκωση στα απειλούμενα πρόστιμα. Για παράδειγμα, μια επιχείρηση μπορεί να απειληθεί με πρόστιμο που ανέρχεται στο 2% του ετήσιου παγκόσμιου κύκλου εργασιών της, σε περιπτώσεις, μεταξύ άλλων, μη νόμιμης τήρησης των αρχείων της, μη υιοθέτησης κατάλληλων τεχνικών και οργανωτικών μέτρων, μη ορισμού υπεύθυνου προστασίας δεδομένων όταν είναι απαραίτητο.

Μια επιχείρηση ή ένας οργανισμός υποχρεούται να διορίσει έναν Υπεύθυνο Προστασίας Δεδομένων (DPO) όταν:

• H επεξεργασία δεδομένων πραγματοποιείται από δημόσιες αρχές
• Mια επιχείρηση ασκεί τακτική και συστηματική παρακολούθηση των υποκειμένων των δεδομένων σε μεγάλη κλίμακα, ή
• Mία επιχείρηση ασχολείται ευρέως με την επεξεργασία ευαίσθητων προσωπικών δεδομένων.

Οι εταιρείες πρέπει να πληρούν τις εξής υποχρεώσεις:

• Να επεξεργάζονται νόμιμα, δίκαια και με διαφάνεια τα προσωπικά δεδομένα των πελατών τους
• Να συλλέγουν προσωπικά δεδομένα μόνο για καθορισμένους, σαφείς και νόμιμους σκοπούς
• Η επεξεργασία των δεδομένων πρέπει να είναι περιορισμένη στους σκοπούς για τους οποίους συνελέγησαν και υποβάλλονται σε επεξεργασία
• Η επεξεργασία πρέπει να διενεργείται με ακρίβεια
• Η διενέργεια της επεξεργασίας δεν πρέπει να επεκτείνεται πέραν του αναγκαίου διαστήματος .
• Η επεξεργασία γίνεται κατά τρόπο που εγγυάται την ενδεδειγμένη ασφάλεια των δεδομένων και την προστασία τους από μη εξουσιοδοτημένη ή παράνομη επεξεργασία, απώλεια, καταστροφή ή φθορά.